ポリシーを使用して Amazon Q Developer へのアクセスを管理する

デフォルトでは、ユーザーとロールには Amazon Q を使用するアクセス許可がありません。IAM 管理者は、IAM ID にアクセス許可を付与することで、Amazon Q Developer とその機能へのアクセスを管理できます。

管理者がユーザーにアクセス権を付与する最も簡単な方法は、AWS マネージドポリシーを介した方法です。AmazonQFullAccess ポリシーを IAM ID にアタッチして、Amazon Q Developer とその機能へのフルアクセスを許可できます。このポリシーの詳細については、「Amazon Q Developer の AWS マネージドポリシー」を参照してください。

IAM ID が Amazon Q Developer で実行できる特定のアクションを管理するには、ユーザー、グループ、ロールが持つ許可を定義するカスタムポリシーを作成できます。また、サービスコントロールポリシー (SCP) を使用して、組織で使用できる Amazon Q の機能を管理することもできます。

ポリシーで管理できる Amazon Q のアクセス許可の全一覧については、「Amazon Q Developer のアクセス許可リファレンス」を参照してください。

ポリシーのベストプラクティス

アイデンティティベースのポリシーは、誰がユーザーのアカウントの Amazon Q Developer リソースを作成、アクセス、削除できるどうかを決定します。これらのアクションを実行すると、AWS アカウント に料金が発生する可能性があります。アイデンティティベースポリシーを作成したり編集したりする際には、以下のガイドラインと推奨事項に従ってください:

IAM でのベストプラクティスの詳細については、IAM ユーザーガイドのIAM でのセキュリティのベストプラクティスを参照してください。

アクセス許可の割り当て

アクセス権限を付与するには、ユーザー、グループ、またはロールにアクセス許可を追加します。

サービスコントロールポリシー (SCP) を使用してのアクセス管理

サービスコントロールポリシー (SCP) は、組織のアクセス許可の管理に使用できる組織ポリシーの一種です。Amazon Q Developer アクションの一部またはすべてに対して許可を指定する SCP を作成することにより、組織で利用できる Amazon Q Developer の機能を管理できます。

SCP を使用して組織内のアクセスを管理する方法の詳細については、「AWS Organizations ユーザーガイド」の「サービスコントロールポリシーの作成、更新、削除」および「サービスコントロールポリシーのアタッチとデタッチ」を参照してください。

次の内容は、Amazon Q へのアクセスを拒否する SCP の例です。このポリシーは、Amazon Q のチャット、コンソールエラーのトラブルシューティング、ネットワークのトラブルシューティングへのアクセスを制限します。

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "DenyAmazonQFullAccess",
      "Effect": "Deny",
      "Action": [
        "q:*"
      ],
      "Resource": "*"
    }
  ]
}

Amazon Q リソースのデータ境界

一部の機能では、Amazon Q は AWS のサービスが所有する Amazon S3 バケットにアーティファクトをアップロードします。データ境界を使用して環境内の Amazon S3 へのアクセスを制御する場合は、対応する Amazon Q の機能を使用するために、これらのバケットへのアクセスを明示的に許可する必要があるかもしれません。

次の表に、Amazon Q がアクセスする必要のある各 Amazon S3 バケットの ARN と URL、および各バケットを使用する機能を示します。これらのバケットを許可リストに登録するには、Amazon S3 へのアクセス制御の方法に応じて、バケット ARN またはバケット URL を使用します。

arn:aws:s3:::amazonq-code-scan-us-east-1-29121b44f7b

https://amazonq-code-scan-us-east-1-29121b44f7b.s3.amazonaws.com/

arn:aws:s3:::amazonq-code-transformation-us-east-1-c6160f047e0

https://amazonq-code-transformation-us-east-1-c6160f047e0.s3.amazonaws.com/

arn:aws:s3:::amazonq-feature-development-us-east-1-a5b980054c6

https://amazonq-feature-development-us-east-1-a5b980054c6.s3.amazonaws.com/